Preserve network captures, logs, endpoint artifacts, and application/database evidence with hashes/ Збереження мережевих записів, журналів, артефактів кінцевих точок та даних про програми/бази даних за допомогою хешів

Record who collected each artifact, when, how, and from which source / Документування кожного, хто зібрав кожен артефакт, коли, як і з якого джерела

Minimize disruption to safety-critical or availability-sensitive OT processes / Мінімізація перебоїв у роботі критично важливих для безпеки або доступності процесів OT

Collect volatile evidence before rebooting, stopping services, or rebuilding systems where feasible / Збір змінних даних перед перезавантаженням, зупинкою служб або відновленням систем, де це можливо

Keep original evidence and derivative analysis products clearly separated / Чіткий розподіл оригінальних доказів та похідних продуктів аналізу